แฮกเกอร์ที่เชื่อมโยงกับเกาหลีเหนือ TraderTraitor ใช้โปรเจกต์ Terraform ที่เป็นอันตรายเปิดฉากการโจมตีรอบใหม่

ข่าว BlockBeats วันที่ 22 กันยายน ตามการเปิดเผยของ SlowMist กลุ่มภัยคุกคามที่เกี่ยวข้องกับเกาหลีเหนือ TraderTraitor (หรือที่รู้จักในชื่อ UNC4899, Jade Sleet) ได้เปิดฉากโจมตีอีกครั้ง เมื่อไม่นานมานี้ได้บุกรุกบริษัทให้บริการไอทีแห่งหนึ่งในอินเดียที่ไม่มีส่วนเกี่ยวข้องกับอุตสาหกรรมคริปโต

ผู้โจมตีได้เผยแพร่ประกาศรับสมัครงานปลอมผ่าน GitHub โดยใช้ "แบบทดสอบสัมภาษณ์ทางเทคนิค" เป็นเหยื่อล่อ เปิดฉากโจมตีแบบฟิชชิ่งมุ่งเป้าไปที่วิศวกร DevOps และวิศวกรคริปโต หลังจากที่เหยื่อดาวน์โหลดโปรเจกต์ที่เกี่ยวข้อง ไฟล์ .terraform.lock.hcl ที่เป็นอันตรายจะชี้ไปยังโดเมน Terraform Provider ที่ผู้โจมตีควบคุม เมื่อรัน terraform init จะกระตุ้นให้เกิดการดาวน์โหลดและเรียกใช้โมดูล Provider ที่เป็นอันตราย

การโจมตีในที่สุดได้ติดตั้งแบ็คดอร์ Rust/ARM64 ชื่อ FLATROOF และ ROOFDECK บนอุปกรณ์ macOS ของเหยื่อ ซึ่งมัลแวร์ทั้งสองตระกูลนี้เคยถูกใช้ในการโจมตี LayerZero มาก่อน โดยมีความสามารถในการขโมยข้อมูลรับรองและข้อมูลที่ละเอียดอ่อน เรียกใช้คำสั่ง Shell รวบรวมและส่งออกไฟล์ ตลอดจนเข้าถึงบริการคลาวด์และที่เก็บโค้ด

SlowMist เตือนว่าเป้าหมายการโจมตีของ TraderTraitor ในครั้งนี้ไม่ได้จำกัดอยู่เพียงอุตสาหกรรมคริปโตเท่านั้น ผู้โจมตีอาจให้ความสนใจมากขึ้นกับสิทธิ์การเข้าถึงคลาวด์และ API เช่น AWS, GCP, OVH และ OpenStack ที่นักพัฒนามีอยู่ องค์กรควรจัดการกับ Terraform Provider แปลกหน้าและที่เก็บโค้ดที่ผู้ว่าจ้างจัดหาให้อย่างระมัดระวัง และหลีกเลี่ยงการใช้設備สำหรับพัฒนาส่วนตัวหรือของบริษัทในการรันโปรเจกต์สัมภาษณ์ที่ยังไม่ผ่านการตรวจสอบ